핵심 요약 외국계 한국법인에서 흔한 구조가 두 가지 있습니다. 본사 APAC 프라이버시 총괄을 한국 개인정보 보호책임자로 올려 두는 것과, 그 사람이 본사 라인으로만 보고하는 것입니다. 두 구조 모두 이미 시행 중인 시행령 제32조 제3항 제2호(지정 대상은 사업주·대표자 또는 임원)와 제32조 제6항 제2호(대표자 또는 이사회에 직접 보고할 수 있는 체계)에 어긋날 수 있습니다. 2026년 9월 11일 시행되는 개정법은 여기에 세 가지 과태료를 새로 붙입니다(제75조 제2항 제14호의2·제14호의3·제14호의4, 각 3천만 원 이하). 요건이 새로 생기는 것이 아니라, 제재가 없던 요건에 제재가 붙는 것입니다.
한국 진출 5년 차 외국계 법인의 개인정보 처리방침을 열어 보면 보호책임자 이름이 영문으로 적혀 있는 경우가 있습니다. 본사 APAC 리전의 Privacy Officer이고, 한국법인 직함은 없습니다.
지금까지 이 구조가 문제된 적이 없었다면, 그것은 적법해서가 아니라 위반에 붙는 제재가 없었기 때문일 수 있습니다.
본사 프라이버시 총괄을 한국 CPO로 지정해도 되나?
시행령 제32조 제3항 제2호는 공공기관 외의 개인정보처리자에 대해 지정 대상을 두 가지로 한정합니다. 가목이 사업주 또는 대표자이고, 나목이 임원입니다. 임원이 없는 경우에만 개인정보 처리 관련 업무를 담당하는 부서의 장을 지정할 수 있습니다.
여기서 말하는 임원은 지정하는 개인정보처리자, 즉 한국법인의 임원입니다. 본사 소속으로 한국법인 등기임원도 아니고 집행임원도 아닌 사람은 이 세 범주 어디에도 들어가지 않습니다.
이 조항은 2024년 3월 12일부터 시행 중입니다. 9월 개정을 기다릴 사안이 아니라 지금 상태를 점검할 사안입니다.
우리 회사도 경력 요건까지 걸리나?
직위 요건 위에 경력 요건이 한 겹 더 있습니다. 시행령 제32조 제4항은 연간 매출액등이 1,500억 원 이상이면서 민감정보나 고유식별정보를 5만 명 이상 처리하거나 개인정보를 100만 명 이상 처리하는 개인정보처리자에게, 별표 1의 요건을 갖춘 사람을 지정하도록 합니다.
별표 1이 요구하는 것은 개인정보보호·정보보호·정보기술 경력을 합해 4년 이상, 그중 개인정보보호 경력 2년 이상입니다. 같은 기간에 두 업무가 겹치면 하나만 인정되고, 관련 학위는 박사 2년·석사 1년·학사 6개월로 환산됩니다.
한국법인 대표가 영업이나 재무 배경이고 그를 CPO로 올려 둔 회사라면, 매출과 처리 규모가 기준을 넘는 순간 이 요건을 충족하지 못하게 됩니다.
9월 11일부터 무엇이 더해지나?
현행 제75조 제2항에는 제31조 위반에 대한 과태료가 하나도 없습니다. 개정법이 세 개를 신설합니다.
| 호 | 내용 |
|---|---|
| 제14호의2 | 보호책임자를 지정하지 않거나 자격요건을 갖추지 않은 자를 지정 |
| 제14호의3 | 지정·변경·해제 시 이사회 의결을 거치지 않음 |
| 제14호의4 | 지정·변경·해제를 보호위원회에 신고하지 않음 |
각 3천만 원 이하이고, 세 호 모두 조문에 “제26조 제8항에 따라 준용되는 경우를 포함한다"가 붙어 있어 업무를 위탁받아 처리하는 회사도 자기 이름으로 같은 의무를 집니다.
이사회 의결과 신고는 개정법 제31조 제3항이 신설한 것으로, 매출액과 보유 규모 등 대통령령 기준에 해당하는 처리자에게만 적용됩니다. 그 기준을 정할 시행령 개정령은 아직 공포되지 않았습니다.
이미 지정해 둔 CPO도 다시 이사회 의결을 받아야 하나?
부칙에 제31조에 관한 경과조치도 적용례도 없습니다. 부칙 제2조는 제34조를, 제3조는 제64조의2를 다룰 뿐입니다.
문언만 놓고 보면 시행 이후의 지정·변경·해제 행위부터 의결과 신고가 걸립니다. 그러나 기존 지정 상태를 신고 대상으로 볼 것인지, 시행일에 맞춰 한 번 정리해 두어야 하는지는 법문이 답하지 않습니다.
외국계 한국법인에서 이 공백이 특히 무거운 이유는 이사회 일정 때문입니다. 정기 이사회가 분기 단위로 열리고 본사 승인 절차가 앞에 붙는 구조라면, 시행령이 나온 뒤에 안건을 올리기 시작해서는 시행일을 맞추기 어렵습니다. 대상 여부가 확정되지 않은 지금 단계에서 결정할 수 있는 것은 이사회 안건 슬롯을 미리 잡아 두는 일입니다.
본사로만 보고하는 라인은 괜찮나?
시행령 제32조 제6항 제2호는 독립성 보장 조치의 하나로, 보호책임자가 보호 계획의 수립·시행과 그 결과에 관하여 정기적으로 대표자 또는 이사회에 직접 보고할 수 있는 체계를 갖추도록 정합니다. 이 역시 현행 조항입니다.
개정법은 같은 내용을 한 단계 올려, 사업주·대표자 및 이사회에 대한 보호 현황 보고를 보호책임자의 법정 업무로 명시합니다(제31조 제4항 제3호). 본사 Global DPO에게만 보고하고 한국법인 대표는 사후에 공유받는 구조는 이 문언과 맞지 않습니다.
이 항목들이 실제로 문제되는 자리는 평상시가 아니라 사고 조사입니다. 유출 사고가 나면 개인정보위는 안전조치 이행 여부와 함께 보호 체계 전반을 봅니다. 그때 보호책임자가 누구였고 어떤 권한과 보고 라인을 가졌는지가 기록으로 남아 있어야 합니다. 본사 플레이북과 한국법이 어긋나는 다른 지점들은 본사 인시던트 대응 플레이북을 한국에 그대로 적용할 수 있나에, 사고 인지 후의 시간표는 개인정보 유출 인지 후 72시간 안에 해야 할 일과 하면 안 되는 일에 정리해 두었습니다. 9월 개정의 조문별 변화는 신구조문 대조표에서 볼 수 있습니다.
자주 묻는 질문
본사 프라이버시 총괄을 한국법인 CPO로 지정해도 되나요?
그 사람이 한국법인의 사업주·대표자이거나 임원이어야 합니다. 시행령 제32조 제3항 제2호는 공공기관 외의 개인정보처리자가 개인정보 보호책임자를 지정할 때 사업주 또는 대표자, 아니면 임원 중에서 지정하도록 하고, 임원이 없는 경우에만 개인정보 처리 관련 업무를 담당하는 부서의 장을 지정할 수 있게 합니다. 한국법인의 임원이 아닌 본사 직원은 이 범위에 들어가지 않습니다.
경력 요건은 어떤 회사에 걸리나요?
시행령 제32조 제4항이 정한 기준에 해당할 때입니다. 민간 기업의 경우 연간 매출액등이 1,500억 원 이상이면서 민감정보 또는 고유식별정보를 5만 명 이상 처리하거나 개인정보를 100만 명 이상 처리하는 경우입니다. 이때는 별표 1에 따라 개인정보보호·정보보호·정보기술 경력을 합해 4년 이상, 그중 개인정보보호 경력을 2년 이상 가진 사람을 지정해야 합니다.
이미 지정해 둔 CPO도 9월 11일에 맞춰 다시 이사회 의결을 받아야 하나요?
개정법 부칙에 제31조에 관한 경과조치나 적용례가 없습니다. 부칙 제2조와 제3조는 제34조와 제64조의2만 다룹니다. 문언만 놓고 보면 시행 이후의 지정·변경·해제 행위부터 의결과 신고가 걸리는 것으로 읽히지만, 기존 지정 상태를 신고 대상으로 볼 것인지는 정해져 있지 않습니다. 대상 기준과 신고 방법을 정할 시행령 개정령도 아직 공포되지 않았습니다.
참고 자료
- 개인정보 보호법(법률 제20897호, 2025년 10월 2일 시행) 제31조 제1항·제2항·제9항, 제75조 제2항
- 개인정보 보호법(법률 제21445호, 2026년 3월 10일 공포, 2026년 9월 11일 시행) 제31조 제3항·제4항·제10항, 제75조 제2항 제14호의2·제14호의3·제14호의4, 부칙 제1조부터 제4조까지
- 개인정보 보호법 시행령(대통령령 제36340호) 제32조 제1항·제3항·제4항·제6항
- 개인정보 보호법 시행령 별표 1 「개인정보 보호책임자의 자격(제32조제4항 관련)」(2024년 3월 12일 신설)
- 이 글은 2026년 7월 31일 기준이며, 개정법 제31조 제3항의 대상 기준과 신고 방법을 정할 시행령 개정령은 이 시점까지 공포되지 않았습니다